Cuando el ransomware bloquea documentos, fotos y proyectos, la urgencia empuja a improvisar, y ahí es donde más se pierde. La respuesta útil no pasa por probarlo todo, sino por saber qué método tiene posibilidades reales: copias limpias, versiones en la nube, Shadow Copies, descifradores públicos o análisis forense. En los casos de recuperar archivos infectados por cryptolocker, el orden de las decisiones importa más que la prisa.
Lo esencial antes de tocar el equipo
- Aísla el dispositivo de la red, del Wi-Fi, de la VPN y de unidades externas para evitar más cifrado o sincronización del daño.
- No borres ni renombres los archivos cifrados todavía; pueden servir como muestra para identificar la variante.
- La mejor vía de recuperación sigue siendo una copia de seguridad limpia, idealmente con estrategia 3-2-1.
- Las versiones anteriores, las copias sombra y algunos descifradores solo funcionan en casos concretos, no como solución universal.
- No pagues el rescate como plan de recuperación: no garantiza devolver nada y complica la respuesta.
- Si estás en España, la Línea 017 puede orientarte con el siguiente paso sin que tengas que improvisar.
Qué hacer en las primeras horas para no perder más datos
Yo empezaría por contener el incidente, no por restaurar. Si el equipo sigue conectado, el ransomware puede seguir actuando, sincronizar archivos dañados o alcanzar carpetas compartidas que todavía estén accesibles. En un entorno doméstico eso ya es un problema; en una empresa, puede convertir un caso local en una caída más amplia.- Desconecta el equipo de Internet, Wi-Fi, cable, VPN y almacenamiento externo.
- Pausa la sincronización de la nube o de cualquier carpeta compartida antes de abrir nada más.
- Haz capturas de pantalla de la nota de rescate, la extensión que hayan añadido y la fecha aproximada del impacto.
- Guarda dos o tres archivos cifrados como muestra; a veces ayudan a identificar la familia concreta.
- No reinstales ni formatees todavía si antes no has confirmado qué vas a recuperar y desde dónde.
La idea es sencilla: primero frenas el daño, luego identificas la variante y solo después eliges el camino de recuperación. Con ese orden claro, ya tiene sentido revisar qué opciones reales siguen en pie.
Qué opciones reales tienes para recuperar los archivos
No todas las vías valen igual. Yo las ordenaría de mayor a menor probabilidad de éxito, porque eso evita perder tiempo en herramientas que suenan bien pero no encajan con tu caso.
| Opción | Cuándo merece la pena | Límite principal | Lectura práctica |
|---|---|---|---|
| Copia de seguridad limpia | Cuando existe una copia aislada del sistema o de los datos anterior al ataque | Si la copia está conectada al mismo entorno, también puede haberse contaminado | Es la vía más fiable, sobre todo si siguió una estrategia 3-2-1 |
| Historial de versiones en la nube | Cuando el servicio conserva versiones anteriores de documentos o carpetas | La sincronización puede haber subido archivos ya cifrados | Muy útil en documentos de trabajo, menos en volúmenes completos |
| Shadow Copies de Windows | Si la infección fue temprana y las instantáneas siguen intactas | Muchos ransomwares las borran al entrar | Buena opción para recuperar carpetas puntuales cuando todavía existen |
| Descifrador público | Si la familia tiene una herramienta conocida y compatible | No hay descifrador para todas las variantes, ni todos funcionan al 100% | Hay que probarlo solo sobre copias, nunca sobre el original |
| Recuperación forense | Cuando el malware borró archivos originales pero no los ha sobrescrito del todo | El éxito cae rápido si el disco se sigue usando | Es más lenta y variable, pero puede rescatar piezas valiosas |
La copia de seguridad sigue siendo la reina, pero no es la única salida. Hay casos en los que una versión anterior o una copia sombra salvan la situación, y otros en los que solo queda un descifrador compatible o una recuperación forense parcial. Esa es precisamente la razón por la que conviene identificar bien la familia antes de lanzar herramientas al azar.
Cuándo un descifrador puede servir y cómo comprobarlo sin improvisar
La trampa más común es pensar que todos los ransomware se comportan igual. No es así. Cada familia cifra de manera distinta, deja rastros distintos y rompe cosas distintas. Por eso yo comprobaría primero si la variante está soportada por No More Ransom o por una herramienta fiable de identificación, en lugar de descargar cualquier supuesta solución milagrosa.
Si la herramienta reconoce la familia, el siguiente paso es probar sobre una copia, no sobre el archivo original. Algunos descifradores piden un archivo cifrado y su versión original sin cifrar para reconstruir la clave o validar el patrón de cifrado; cuando eso ocurre, suele funcionar mejor con archivos relativamente grandes y bien conservados. Si no tienes el original, no inventes uno ni mezcles versiones distintas: eso solo complica el proceso.
- Identifica la familia exacta a partir de la nota de rescate, la extensión añadida y las muestras cifradas.
- Trabaja siempre sobre una copia del archivo o del disco, nunca sobre el original.
- Usa un equipo limpio para descargar, analizar o ejecutar cualquier herramienta de recuperación.
- Asume límites reales: algunos descifradores solo recuperan parte de los datos o ya no sirven en variantes nuevas.
Si no hay soporte para tu variante, no pasa nada por conservar los archivos cifrados. A veces la diferencia entre perderlos para siempre y recuperarlos meses después es simplemente haberlos guardado sin tocarlos.
Los errores que suelen romper la restauración
La recuperación falla muchas veces por mala secuencia, no por falta de herramientas. Yo veo siempre los mismos tropiezos: restaurar demasiado pronto, volver a sincronizar con la nube antes de limpiar, o confiar en una utilidad descargada sin verificar. Cada uno de esos pasos puede reescribir el problema encima de la solución.
- Restaurar antes de desinfectar: si el sistema sigue comprometido, vuelves a cifrar lo que acabas de recuperar.
- Conectar copias sin revisar: una unidad USB o un NAS pueden arrastrar el ataque a otro equipo.
- Pagar el rescate como atajo: no da garantías y, además, alimenta el modelo del atacante.
- Borrar los archivos cifrados: sin muestras, pierdes opciones si aparece un descifrador más adelante.
- Sincronizar de nuevo demasiado pronto: la nube puede propagar la versión dañada a todas partes.
Mi regla aquí es simple: lo que no has validado, no lo restauras; lo que no has limpiado, no lo reconectas. Esa disciplina evita que una recuperación parcial se convierta en una segunda infección.
Cómo reconstruir el sistema sin reinfectarlo
Una vez contenida la situación, yo reconstruiría el sistema desde una base limpia. Si el equipo es personal, eso suele implicar reinstalar el sistema operativo y aplicar parches antes de devolverle los archivos. Si es una empresa, además hay que revisar cuentas, credenciales, dispositivos compartidos y posibles accesos persistentes. Y si hubo exfiltración de datos, la respuesta ya no es solo de restauración: también es de incidente de seguridad.
- Reinstala o limpia el sistema desde medios confiables y aplica actualizaciones antes de conectar tus datos.
- Cambia contraseñas y cierra sesiones desde otro dispositivo que sepas que está limpio.
- Verifica la copia de restauración antes de montarla: busca cambios raros, archivos faltantes o señales de cifrado.
- Restaura por tandas, empezando por documentos críticos y dejando las carpetas menos sensibles para después.
- Comprueba integridad abriendo una muestra pequeña de cada lote antes de darlo por bueno.
Cuando este paso se hace con calma, la recuperación deja de ser una apuesta. No siempre recupera todo, pero sí reduce mucho el riesgo de reinfección y te permite cerrar el caso con una línea de trabajo limpia.
Lo que yo haría antes de dar un archivo por perdido
Yo guardaría tres cosas sin tocar: la nota de rescate, un par de archivos cifrados y, si existe, una copia íntegra del disco o de la carpeta afectada. También anotaría la extensión exacta que añadió el malware, la hora aproximada del ataque y qué dispositivos estaban conectados en ese momento. Esa información vale más de lo que parece si después aparece una herramienta compatible o si hace falta reconstruir el incidente.
Si estás en España y no quieres decidir a ciegas, la Línea 017 puede ayudarte a ordenar el siguiente paso. Y si quieres minimizar el impacto en el futuro, la lección es bastante poco glamurosa pero muy sólida: tres copias, dos soportes distintos y una fuera de línea. Esa regla sigue siendo, en 2026, la diferencia entre una recuperación razonable y una pérdida larga y cara.
